Robiłem site-to-site vpn pomiędzy tplinkiem 4300 z openwrt a linuksem. Wprawdzie cały setup oparty jest o strongswana, więc coś innego niż openVPN ale wydajnośc pewnie podobna będzie. Żadnych dodatkowych skryptów poza konfigiem do strongswana czyli /etc/ipsec.conf
U mnie tplink przewala max do ok 28Mb/s ruchu przez tunel. Tunel szyfrowany aes128md5 (przy aes128sha2 było ok 24Mb/s). Oczywiście przy takim ruchu CPU obciążone na 100%. Przy braku ruchu dodatkowe obciążenie jest pomijalne.
Co do limitowania nie wypowiem się.

Ad. 2)
Zdaje się po zaznaczeniu luci-app-wireguard (jak używasz luci oczywiście) i/lub luci-proto-wireguard (ta lub wcześniejsza apka są jednocześnie w zależności od wersji jądra/distro/rewizji) zaznaczy się wszystko z pozostałych co niezbędne:
- kmod-wireguard zaznaczy się zawsze...natomiast wireguard lub wireguard-tools zaznaczy się w zależności, która wersja jądra/distro/rewizji.

Gdy nie używasz luci zaznaczasz sam kmod* i w zależności jaka to wersja jądra/distro/rewizja szukasz w różnych miejscach w drzewie pakietów pakietu wireguard lub wireguard-tools.
...i tak bym to zaznaczał na Twoim miejscu przez "make menuconfig"

Nie tak do końca - kmod-wireguard to tylko moduł jądra dający obsługę tego specyficznego protokołu vpn - cała logika i obsługa zawarta jest w wireguard/wireguard-tools (wszystkie komendy i opcje w wersji shell'owej) - luci-app-wireguard i  luci-proto-wireguard to tylko nakładki semigraficzne na wcześniej wymienione komendy i jako dodatek do konfiguratora sieci/itd. do luci, wraz z bazą odpowiednich/przykładowych konfiguracji wraz ze wzajemną logiką.
Reasumując: najlepiej i najprościej konfigurować to przez luci, chociaż niektóre detale i tak w ostateczności należy wykonać w konsoli.

Także w każdej możliwej wersji/możliwej konfiguracji potrzebujesz minimum 2 pakietów: kmod* + wireguard*.
No i ostatnia uwaga praktyczna: nie można użyć jednocześnie pakietów wireguard i wireguard-tools - wybierasz tylko jeden z nich lub sam się wybierze odpowiedni przy dodaniu pakietów do luci dla tego programu.

pozwole sobie dodac troche dokladniejszy opis bez wykorzystania VPN policy based routingu, korzystajac tylko z sekcji network + instalujac wireguarda

Podstawowa konfiguracja (site to site VPN + policy based routing dla 1 klienta)
z perspektywy routera 1
Zalozenia : router 1 lan = 192.168.1.0/24  ; router 2 lan = 10.1.1.0/24
1 host PBR = 192.168.1.97
konfiguracja drugiego routera jest "lustrzanym odbiciem" ponizszej konfiguracji

Instalujemy pakiety (zaleznosci zalatwiaja reszte)

opkg install luci-proto-wireguard
opkg install luci-app-wireguard

Generujemy klucze prywatne i publiczne

wg genkey | tee privatekey | wg pubkey > publickey

Tworzymy dodatkowa tablice routingu "vpn" :

    cat /etc/iproute2/rt_tables
    #
    # reserved values
    #
    128     prelocal
    255     local
    254     main
    253     default
    10      vpn
    0       unspec
    #
    # local
    #
    #1      inr.ruhep

Calosc konfiguracji mozemy osiagnac przez modyfikacje pliku /etc/config/network :

config interface 'wg0'
        option proto 'wireguard'
        option private_key 'my-private-key'
        list addresses '172.16.1.1/30'
        option listen_port '51820'

config wireguard_wg0
        option endpoint_host 'x.x.x.x'
        option endpoint_port '51820'
        option public_key 'remote-public-key'
        list allowed_ips '0.0.0.0/0'
# zezwalamy na ruch do wszystkich sieci

Kolejna sekcja to PBR, mozemy korzystac z /etc/config/network, albo luci-app-vpn-policy-routing

# dodajemy trasy :

# LAN po drugiej stronie tunelu
config route 'lanbehindtun'
        option interface 'wg0'
        option target '10.1.1.0/24'
        option gateway '172.16.1.2'

# trasa domyslna dla PBR, tabela 10 = vpn :
config route 'defaultviavpntable'
        option interface 'wg0'
        option target '0.0.0.0/0'
        option gateway '172.16.1.2'
        option table '10'

# ip rule dla source routingu
config rule
        option src '192.168.1.97/32'
        option lookup 'vpn'

Modyfikujemy firewall :

# ruch UDP na WAN
config rule
        option target 'ACCEPT'
        option src 'wan'
        option proto 'udp'
        option dest_port '51820'
        option name 'wireguard'

# nowa strefa I ogolne zasady :
config zone
        option name 'wireguard'
        option input 'ACCEPT'
        option forward 'REJECT'
        option output 'ACCEPT'
        option network 'wg0'

# zezwalaj by 1 zdalny klient (PBR) wychodzil do internetu przez lacze drugiego routera
config forwarding
        option dest 'wan'
        option src 'wireguard'

# zezwalaj na ruch z mojego lan do wireguard (tunelu)
config forwarding
        option dest 'wireguard'
        option src 'lan'

# zezwalaj na ruch z tunelu do mojego lan
config forwarding
        option dest 'lan'
        option src 'wireguard'